
# Interaktivni AI Compliance Sandbox za sigurnosne upitnike

> **TL;DR** – Sandbox platforma omogućuje organizacijama generiranje realističnih izazova upitnika, obučavanje AI modela na njima i trenutno ocjenjivanje kvalitete odgovora, pretvarajući ručni napor sigurnosnih upitnika u ponovljiv, podacima vođen proces.

---

## Zašto je Sandbox Nedostajući Poveznica u Automatizaciji Upitnika

Sigurnosni upitnici su “čuvari povjerenja” za SaaS dobavljače. Ipak, većina timova još uvijek se oslanja na proračunske tablice, e‑mail niti i ad‑hoc kopiranje‑zalijepiti iz dokumenata politika. Čak i uz moćne AI motore, kvaliteta odgovora ovisi o tri skrivena faktora:

| Skriveni faktor | Uobičajena bolna točka | Kako Sandbox to rješava |
|-----------------|------------------------|--------------------------|
| **Kvaliteta podataka** | Zastarjele politike ili nedostajući dokazi dovode do nejasnih odgovora. | Sintetičko versioniranje politika omogućuje testiranje AI‑a protiv svakog mogućeg stanja dokumenta. |
| **Kontekstualna prikladnost** | AI može proizvesti tehnički točne, ali kontekstualno neodgovarajuće odgovore. | Simulirani profili dobavljača prisiljavaju model da prilagodi ton, opseg i apetitet rizika. |
| **Petlja povratne informacije** | Ručni ciklusi revizije su spori; pogreške se ponavljaju u budućim upitnicima. | Ocjenjivanje u stvarnom vremenu, objašnjivost i gamificirano podučavanje zatvaraju petlju trenutno. |

Sandbox hvata ove praznine pružajući **zatvoreno‑petljasto igralište** gdje je svaki element – od regulatornih feed‑ova do komentara revizora – programabilan i promatrajiv.

---

## Osnovna arhitektura sandboxa

Ispod je visoko‑razina protoka. Dijagram koristi **Mermaid** sintaksu, koju Hugo automatski renderira.

```mermaid
flowchart LR
    A["Synthetic Vendor Generator"] --> B["Dynamic Questionnaire Engine"]
    B --> C["AI Answer Generator"]
    C --> D["Real‑Time Evaluation Module"]
    D --> E["Explainable Feedback Dashboard"]
    E --> F["Knowledge‑Graph Sync"]
    F --> B
    D --> G["Policy Drift Detector"]
    G --> H["Regulatory Feed Ingestor"]
    H --> B
```

*All node labels are quoted to satisfy Mermaid requirements.*

### 1. Generator sintetičkih dobavljača  
Stvara realistične profile dobavljača (veličina, industrija, rezidencijalni podaci, apetitet rizika). Atributi se nasumično biraju iz konfigurabilne distribucije, osiguravajući široki spektar scenarija.

### 2. Dinamički motor upitnika  
Učitaj najnovije predloške upitnika (**[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**, **[ISO 27001](https://www.iso.org/standard/27001)**, **[GDPR](https://gdpr.eu/)**, itd.) i ubaci varijable specifične za dobavljača, stvarajući **jedinstvenu instancu upitnika** pri svakom pokretanju.

### 3. Generator AI odgovora  
Omota bilo koji LLM (OpenAI, Anthropic ili samohostirani model) uz **prompt‑templating** koji prosljeđuje kontekst sintetičkog dobavljača, upitnik i trenutnu politiku repozitorija.

### 4. Modul ocjenjivanja u stvarnom vremenu  
Ocjenjuje odgovore po tri osi:
* **Usklađenost** – leksičko podudaranje s grafom znanja politika.
* **Kontekstualna relevantnost** – sličnost profilu rizika dobavljača.
* **Konzistentnost narativa** – koherentnost kroz odgovore na više pitanja.

### 5. Dashboard objašnjivih povratnih informacija  
Prikazuje ocjene pouzdanosti, ističe neusklađene dokaze i nudi **predložene izmjene**. Korisnici mogu odobriti, odbiti ili zatražiti novo generiranje, stvarajući kontinuiranu petlju poboljšanja.

### 6. Sinkronizacija graf‑znanja  
Svaki odobren odgovor obogaćuje graf znanja usklađenosti, povezujući dokaze, klauzule politika i atribute dobavljača.

### 7. Detektor drift‑a politika & Ingestor regulatornih feed‑ova  
Prati vanjske feed‑ove (npr. **[NIST CSF](https://www.nist.gov/cyberframework)**, ENISA i **[DPAs](https://www.dpocentre.com/what-is-a-dpa-and-why-do-you-need-one/)**). Kad se pojavi nova regulativa, pokreće **povećanje verzije politike**, automatski ponovo pokrećući pogođene sandbox scenarije.

---

## Izgradnja vaše prve sandbox instance

Ispod je korak‑po‑korak cheat sheet. Naredbe pretpostavljaju Docker‑bazirano postavljanje; po potrebi ih možete zamijeniti Kubernetes manifestima.

```bash
# 1. Klonirajte sandbox repozitorij
git clone https://github.com/procurize/ai-compliance-sandbox.git
cd ai-compliance-sandbox

# 2. Pokrenite osnovne servise (LLM API proxy, Graph DB, Evaluation Engine)
docker compose up -d

# 3. Učitajte osnovne politike (SOC2, ISO27001, GDPR)
./scripts/load-policies.sh policies/soc2.yaml policies/iso27001.yaml policies/gdpr.yaml

# 4. Generirajte sintetičkog dobavljača (Retail SaaS, EU rezidencija podataka)
curl -X POST http://localhost:8080/api/vendor \
     -H "Content-Type: application/json" \
     -d '{"industry":"Retail SaaS","region":"EU","risk_tier":"Medium"}' \
     -o vendor.json

# 5. Stvorite instancu upitnika za ovog dobavljača
curl -X POST http://localhost:8080/api/questionnaire \
     -H "Content-Type: application/json" \
     -d @vendor.json \
     -o questionnaire.json

# 6. Pokrenite Generator AI odgovora
curl -X POST http://localhost:8080/api/generate \
     -H "Content-Type: application/json" \
     -d @questionnaire.json \
     -o answers.json

# 7. Ocijenite i primite povratnu informaciju
curl -X POST http://localhost:8080/api/evaluate \
     -H "Content-Type: application/json" \
     -d @answers.json \
     -o evaluation.json
```

Kad otvorite `http://localhost:8080/dashboard`, vidjet ćete **toplinsku kartu u stvarnom vremenu** rizika usklađenosti, **klizač pouzdanosti** i **panel objašnjivosti** koji precizira točnu klauzulu politike koja je uzrokovala nizak rezultat.

---

## Gamificirano podučavanje: Pretvaranje učenje u natjecanje

Jedna od najomiljenijih značajki sandboxa je **Ljestvica podučavanja**. Timovi osvajaju bodove za:

* **Brzinu** – ispunjavanje cijelog upitnika unutar referentnog vremena.
* **Točnost** – visoke ocjene usklađenosti (> 90 %).
* **Poboljšanje** – smanjenje drift‑a kroz uzastopna pokretanja.

Ljestvica potiče zdravo natjecanje, potičući timove da usavršavaju promptove, obogaćuju dokaze politika i usvajaju najbolje prakse. Nadalje, sustav može izložiti **uobičajene obrasce neuspjeha** (npr. “Nedostaje dokaz o enkripciji‑u‑miru”) i predložiti ciljane module obuke.

---

## Stvarne prednosti: Brojevi iz ranih korisnika

| Metrika | Prije sandboxa | Nakon 90‑dnevnog usvajanja sandboxa |
|---------|----------------|--------------------------------------|
| Prosječno vrijeme rješavanja upitnika | 7 dana | 2 dana |
| Ručni napor revizije (osobni sati) | 18 h po upitniku | 4 h po upitniku |
| Točnost odgovora (ocjena vršnjaka) | 78 % | 94 % |
| Kašnjenje otkrivanja drift‑a politika | 2 tjedna | < 24 sata |

Sandbox ne samo da skraćuje vrijeme odgovora, već i gradi **živi repozitorij dokaza** koji raste s organizacijom.

---

## Proširivanje sandboxa: Plug‑in arhitektura

Platforma je izgrađena na **mikro‑servisnom “plug‑in” modelu**, što olakšava proširenja:

| Plug‑in | Primjer upotrebe |
|---------|-------------------|
| **Custom LLM Wrapper** | Zamijenite zadani model s domenom specifičnim, fino podešenim LLM‑om. |
| **Regulatory Feed Connector** | Povucite EU DPA novosti putem RSS‑a i automatski mapirajte na klauzule politika. |
| **Evidence Generation Bot** | Integrirajte s Document AI za automatsko izvlačenje certifikata enkripcije iz PDF‑ova. |
| **Third‑Party Review API** | Pošaljite odgovore niskog povjerenja vanjskim revizorima za dodatni sloj provjere. |

Programeri mogu objaviti svoje plug‑ine na **Marketplace** unutar sandboxa, potičući zajednicu inženjera usklađenosti da dijele ponovno upotrebljive komponente.

---

## Sigurnosne i privatnostne razmatranja

Iako sandbox koristi sintetičke podatke, produkcijska implementacija često uključuje stvarne dokumente politika i ponekad povjerljive dokaze. Evo smjernica za učvršćivanje:

1. **Zero‑Trust mreža** – Svi servisi komuniciraju preko mTLS; pristup se upravlja OAuth 2.0 opsegima.
2. **Šifriranje podataka** – Pohrana u mirovanju koristi AES‑256; podaci u prijenosu su zaštićeni TLS 1.3.
3. **Auditable Logs** – Svako generiranje i ocjenjivanje događaja je nepromjenjivo zapisano u **Merkle‑tree ledger**, omogućujući forenzičko praćenje.
4. **Privatnost‑čuvajuće politike** – Kada se mogući stvarni dokazi upijaju, omogućite **diferencijalnu privatnost** na grafu znanja kako biste spriječili curenje osjetljivih polja.

---

## Budući plan: Od sandboxa do proizvodno spremnog autonomnog motora

| Kvartal | Miljapunkt |
|---------|------------|
| Q1 2026 | **Samoučeći optimizer prompta** – petlje pojačavajućeg učenja automatski rafiniraju promptove na temelju ocjena. |
| Q2 2026 | **Federirano učenje preko organizacija** – više poduzeća dijeli anonimizirane modelne nadogradnje za poboljšanje generiranja odgovora bez izlaganja vlasničkih podataka. |
| Q3 2026 | **Live Regulatory Radar integracija** – real‑time upozorenja izravno aktiviraju simulacije revizija politika. |
| Q4 2026 | **CI/CD za usklađenost** – ugrađivanje sandbox pokretanja u GitOps pipeline; nova verzija upitnika mora proći sandbox prije spajanja. |

Ova poboljšanja transformirat će sandbox iz *trening terena* u *autonomni sustav usklađenosti* koji se neprestano prilagođava promjenjivom regulatornom krajoliku.

---

## Počnite danas

1. **Posjetite otvoreni repozitorij** – <https://github.com/procurize/ai-compliance-sandbox>.  
2. **Postavite lokalnu instancu** koristeći Docker Compose (pogledajte skriptu za brzo pokretanje).  
3. **Pozovite svoje timove za sigurnost i proizvod** da odrade “prvi‑run” izazov.  
4. **Iterirajte** – rafinirajte promptove, obogatite dokaze, pratite kako ljestvica raste.

Pretvaranjem napornog procesa upitnika u interaktivno, podatcima vođeno iskustvo, Interaktivni AI Compliance Sandbox osnažuje organizacije da *odgovaraju brže, odgovaraju točnije i ostanu korak ispred regulatornih promjena*.